Google Dorks

Apa Itu Google Dorks?

Pernahkah kamu membayangkan bahwa mesin pencari seperti Google bisa digunakan bukan hanya untuk mencari informasi umum, tapi juga untuk menemukan data tersembunyi di internet — bahkan yang seharusnya tidak boleh terlihat publik?
Itulah yang disebut dengan Google Dorks.

Google Dorks, atau Google Hacking, adalah teknik pencarian lanjutan yang memanfaatkan operator khusus di Google Search untuk menemukan file, halaman, atau informasi sensitif yang tanpa sengaja dipublikasikan di web. Dengan mengetikkan kombinasi kata kunci tertentu seperti filetype:txt atau inurl:admin, seseorang bisa menemukan file konfigurasi, data login, hingga backup database yang terbuka untuk umum.

Namun penting diingat — Google Dorks bukanlah alat untuk meretas.
Teknik ini sebenarnya digunakan untuk tujuan etis dan edukatif, misalnya untuk mengaudit keamanan situs sendiri, mendeteksi kebocoran data, atau memahami bagaimana melindungi sistem dari eksposur informasi.

---

Pada artikel kali ini, kita akan membahas contoh-contoh query Google Dorks yang sering digunakan, bagaimana cara kerjanya, dan apa langkah-langkah yang bisa dilakukan untuk melindungi data dari pencarian semacam ini.

 

- ?php JConfig public $$offset user = filetype:txt

- $mailfrom ext:txt

- "username"+"password" ext:txt

- "paypal"+"Password" ext:txt 

- "Master Card"+"Expiration" ext:txt

- inurl:order.txt

- intitle:Index Of/ intext:order.txt

- intitle:Index of/ intext:txt

- inurl:/cgi-bin/ ext:txt

- "Password"+"email" ext:txt

- "facebook"+"password" ext:txt

daftar itu bukan kode program biasa, melainkan contoh pola pencarian (search queries) yang sering dipakai untuk mencari file atau data sensitif yang tidak sengaja terekspos di internet. Istilah populernya: Google dorks atau dorking — cara memanfaatkan operator pencarian untuk menemukan halaman, file, atau konfigurasi yang terbuka untuk umum.

Sebelum lanjut: peringatan penting — menggunakan pola-pola ini untuk mengakses, men-download, atau mengeksploitasi data orang lain tanpa izin adalah ilegal dan tidak etis. Penjelasan di bawah saya berikan untuk tujuan edukasi dan defensif (mis. agar kamu tahu apa yang harus diperbaiki pada situs/layananmu sendiri).

Berikut penjelasan singkat tiap baris dan maksudnya:

• - ?php JConfig public $$offset user = filetype:txt
  → Tampak seperti variasi pola untuk mencari file konfigurasi (mis. configuration.php Joomla/JConfig) atau file .txt yang berisi variabel konfigurasi. Bisa mengindikasikan upaya menemukan file konfigurasi PHP yang berisi kredensial.

• - $mailfrom ext:txt
  → Mencari file .txt yang mengandung string mailfrom (sering muncul dalam file konfigurasi email atau logs).

• - "username"+"password" ext:txt
  → Mencari file teks yang berisi teks username dan password — kemungkinan file credential tersimpan secara tidak aman.

• - "paypal"+"Password" ext:txt
  → Mencari file teks yang mengandung kata paypal dan Password — berpotensi menemukan informasi pembayaran sensitif.

• - "Master Card"+"Expiration" ext:txt
  → Mencari teks yang mungkin memuat nomor kartu dan tanggal kedaluwarsa dalam file .txt.

• - inurl:order.txt
  → Mencari URL yang mengandung order.txt — file order/transaction yang mungkin menyimpan data pelanggan.

• - intitle:Index Of/ intext:order.txt
  → Mencari halaman direktori terbuka (Index Of) yang menyertakan order.txt di isi — tanda directory listing aktif.

• - intitle:Index of/ intext:txt
  → Mencari direktori yang menampilkan file .txt (directory listing).

• - inurl:/cgi-bin/ ext:txt
  → Mencari file .txt di dalam folder cgi-bin — area yang kadang berisi skrip lama atau file sensitif.

• - "Password"+"email" ext:txt
  → Mencari file teks yang mengandung kata Password dan email.

• - "facebook"+"password" ext:txt
  → Mencari file yang menyebut facebook dan password — berbahaya kalau ketemu (informasi akun).

• - untuk lebih banyaknya bisa anda Lihat Di Bawah Ini
  → Mengindikasikan masih ada koleksi query lain.

---

Kenapa ini berbahaya?

Pola-pola ini mempermudah penyerang menemukan:

• file konfigurasi berisi username/password, API keys, token, dsb.

• file backup (.bak, .old, .txt) yang tidak dihapus.

• direktori dengan Index Of (directory listing) aktif.

• log dan order file yang berisi data pelanggan.

Jika ada data sensitif yang terekspos, orang jahat bisa menyalahgunakannya untuk pencurian identitas, penipuan, atau akses tidak sah.

---

Jika kamu pemilik situs / admin — langkah defensif (aman & etis)

Jika tujuanmu adalah mendeteksi dan memperbaiki eksposur pada asetmu sendiri, lakukan langkah-langkah berikut:

1. Cari eksposur di domainmu sendiri

   • Gunakan Google Search Console/Google Safe Browsing untuk melihat isu yang terdeteksi.

   • Cek secara manual (atau dengan tool keamanan) apakah ada file .txt, backup, atau Index Of yang tidak semestinya.

2. Matikan directory listing

   • Di server Apache: pastikan Options -Indexes di konfigurasi atau .htaccess.

   • Di Nginx: jangan aktifkan autoindex on.

3. Hapus file sensitif

   • Hilangkan file konfigurasi, backup, atau file log dari direktori publik (/public_html, www, dsb.).

   • Pindahkan file penting ke luar folder publik.

4. Atur permission file/direktori dengan benar

   • File konfigurasi sebaiknya hanya dapat dibaca oleh user yang menjalankan web server, bukan dunia (chmod 600 untuk file sensitif di lingkungan Unix, dsb.).

5. Batasi akses dengan autentikasi

   • Untuk area tertentu gunakan HTTP authentication atau proteksi berbasis IP.

6. Gunakan environment variables untuk kredensial

   • Jangan menyimpan username/password di file teks yang bisa diakses publik. Gunakan environment variables atau secret manager.

7. Rotasi kredensial jika ditemukan bocor

   • Ubah password/API keys yang mungkin tercantum di file yang terekspos segera.

8. Audit dan monitoring

   • Pasang monitoring & alert (WAF, IDS/IPS) dan lakukan scanning berkala dengan tool keamanan (OWASP ZAP, Nikto, atau layanan pentest profesional).

9. Pendidikan & kebijakan

   • Buat kebijakan developer: jangan commit kredensial ke repo publik (pakai .gitignore), jangan simpan file backup di server publik.

---

Jika kamu menemukan file yang seharusnya tidak publik

• Jangan mengunduh atau menyebarkan isinya.

• Jika itu milikmu: perbaiki segera (hapus/ubah permission/rotasi kredensial).

• Jika itu milik orang lain: laporkan ke pemilik situs atau provider hosting; jangan eksploitasi.